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(57) Abstract: The invention relates to a motor controller (1) comprising a control unit (2) and a fail-safe device (4) for safely 
tripping a motor. The fail-safe device is or can be connected to the control unit and is equipped with a connection for a fail-safe bus. 
The aim of the invention is to broaden the application range of the motor controller. To achieve this, the fail-safe device comprises 
additional connections for external fail-safe function units and elements for providing a communication connection between the 
external fail-safe function units and the fail-safe bus, thus permitting communication in al least one direction. 

[Fortsetzung auf der nachsten SeiteJ 
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Zur Erkldrung der Zweibuchstaben- Codes und der anderen Ab- 
kurzungen wird auf die Erkldrungen ("Guidance Notes on Co- 
des and Abbreviations") am Anfang jeder reguliiren Ausgabe der 
PCT-Gazette verwiesen. 



(57) Zusammenfassung: Bei einer Motorsteuerung (1) mit einer Steuereinrichtung (2) und einer Sicherheitsvorrichtung (4) zum 
sicheren Abschalten eines Motors (3) ist die Sicherheitsvorrichtung mit der Steuereinrichtung verbunden oder verbindbar und mit ei- 
nem AnschluB fureinen Sicherheitsbus versehen. Urn das Anwendungsgebiet der Motorsteuerung zu erweitern, ist erfindungsgemap 
vorgesehen, dap die Sicherheitsvorrichtung weitere Anschlusse fur extemc Sicherheitsfunktionseinheiten und Mittel zum kommu- 
nikativen Verbinden derexternen Sichereitsfunktionseinheiten mit dem Sicherheitsbus fiireine Kommunikation in wenigstens einer 
Richtung aufweist. 
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Motorsteuerunq mit einer Steuereinrichtung und elner 
Sicherheitsvorrichtung zum sicheren Abschalten eines Motors 

Die Erfindung bezieht sich auf eine Motorsteuerung mit einer Steuereinrichtung 
und einer Sicherheitsvorrichtung zum sicheren Abschalten eines Motors, wobei 
die Sicherheitsvorrichtung mit der Steuereinrichtung verbunden oder verbindbar 
ist und einen AnschlufJ fur einen Sicherheitsbus aufweist. 

5 

Eine derartige Motorsteuerung ist im Handel erhaltlich. 

Eine ahnliche Motorsteuerung ist aus der DE 102 06 107 A1 bekannt. Neben 
dem Sicherheitsbus hat sie nur einen AnschluR fur einen die Drehzahl des Mo- 
10 tors messenden Sensor, dessen DrehzahlmefJsignal ein Herunterfahren des 
Motors bewirkt 

Der Erfindung liegt die Aufgabe zugrunde, das Anwendungsgebiet der Mo- 
torsteuerung zu erweitern. 

15 

ErfindungsgemalJ ist diese Aufgabe dadurch gelost, daft die Sicherheitsvorrich- 
tung weitere Anschlusse fur externe Sicherheitsfunktionseinheiten und Mittel 
zum kommunikativen Verbinden der externen Sicherheitsfunktionseinheiten mit 
dem Sicherheitsbus fUr eine Kommunikation in wenigstens einer Richtung auf- 
2 o weist. 

Auf diese Weise wird die Motorsteuerung zum "intelli-genten", dezentralen Ver- 
knupfungspunkt, der auch weniger intelligente Sicherheitsfunktionseinheiten, 
wie Aktuatoren, Schalter und dergleichen, mit einem Sicherheitsbus verbindet. 
2 5 Die Sicherheitsfunktionseinheiten konnen dabei als ganz gewohnliche Sicher- 
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heitsfunktionseinheiten (d.h. Einheiten, die ansonsten keine eigene Buskom- 
munikationsmoglichkeit haben, aber dennoch sicher und kostengunstig sind) 
ausgebildet sein, die ein einfaches Spannungssignal an einen der AnschlQsse 
der Motorsteuerung anlegen. Dieses Signal kann dann gegebenenfalls von den 
5 Mitteln der Sicherheitsvorrichtung an einen Sicherheitsbus-Controller weiterge- 
leitet werden, der das Signal in ein Sicherheits-Telegramm umsetzt Ein weite- 
rer Vorteil ist, daft die externen Sicherheitsfunktionseinheiten, die Liber begrenz- 
te "Intelligenz" oder keine verfiigen, auch kurzer verdrahtet werden konnen, weil 
sie nicht mit einer entfernt angeordneten speicherprogrammierten Steuerung 
10 (SPS) verbunden werden miissen. 

Vorzugsweise weist die Sicherheitsvorrichtung eine oder mehrere Sicherheits- 
funktionen auf, die vorab programmiert und gespeichert ist bzw. sind und uber 
eine AnschluRleiste der Sicherheitsvorrichtung bzw. durch den Sicherheitsbus 

15 aktiyierbar ist bzw. sind. Diese Sicherheitsfunktionen sind mithin schon fabrik- 
seitig vorgesehen. Der Benutzer kann daher beliebig eine oder mehrere dieser 
Funktionen ausnutzen. Beispielsweise kann nach AnschlieBen eines Not-Halt- 
Schalters durch dessen Betatigung die Funktion "Halt" ausgelOst werden, so 
da(i der Motor angehalten wird. Alternativ oder zusatzlich kann ein Tur-Schaiter 

20 an einen entsprechenden AnschlulJ "Drehzahluberwachung" angeschlossen 
werden, wonach, wenn eine Bedienungsperson eine Tur fur einen Zugang zu 
einem Sicherheitsbereich, beispielsweise einer Maschine, offnet, die Mo- 
torsteuerung bei Oberschreiten eines relativ niedrigen Drehzahlgrenzwerts die 
Energiezufuhr zum Motor unterbricht 

25 

Die Anschlusse konnen in einer AnschluBleiste auf einer Karte angebracht sein 
und die erwahnten Mittel aus einem oder mehreren Mikroprozessoren beste- 
hen, die auf dieser Karte angebracht sind. Es ist zwar prinzipiell mog I ich, An- 
schlusse und Karte zu trennen. Wenn sie jedoch alle auf einer Karte angeord- 
3 o net sind, entfallt ein zusatzlicher Verdrahtungsaufwand. 
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Auch die Steuereinrichtung kann auf wenigstens einer von der Sicherheitsvor- 
richtung getrennten Karte angebracht sein. Dies ermoglicht das Auswechseln 
der Karte mit der Steuereinrichtung, falls diese einen Defekt aufweist, ohne die 
Sicherheitsvorrichtung, die ebenfalls auf einer eigenen Karte angeordnet sein 
5 kann, auswechseln zu mussen, und umgekehrt. 

Ferner konnen Leiterbahnen von den Anschlussen zu den Mikroprozessoren 
sowie die elektronischen Schaltanschlusse der Mikroprozessoren kontinuierlich 
von einer PrOfvorrichtung auf deren Funktionsfahigkeit uberpriifbar sein. Dies 
10 erh6ht die Sicherheit der Sicherheitsvorrichtung und die Wirksamkeit eines 
durch die Sicherheitsvorrichtung erzeugten Abschaltsignals. 

Hierbei kann eine Sicherheitsfunktion Qber einen ersten und einen zweiten 
Anschlufi der Anschlulileiste aktivierbar und der erste AnschluB mit einem er- 
15 sten Mikroprozessor und der zweite Anschlufi mit einem zweiten Mikroprozes- 
sor verbunden sein. Auf diese Weise kann durch redundante Aktivierungssigna- 
le sichergestellt werden, dafj wenigstens eines der Signale die Steuereinrich- 
tung erreicht und eine den Anschlussen zugeordnete Sicherheitsfunktion akti- 
viert. 

20 

Sodann kann die AnschluBleiste einen RucksetzanschluB aufweisen. Dadurch 
kann durch ein Signal "sicherer Halt" Qber den Sicherheitsbus ein Rucksetzen 
eines digitalen Signalprozessors in der Steuereinrichtung und eine Unterbre- 
chung der Betriebsspannung eines Schaltimpuls-Treibers in der Steuereinrich- 

25 tung und/oder eine Unterbrechung der durch den Schaitimpuls-Treiber ubertra- 
genen Schaltimpulse bewirkbar sein. Diese Schaltimpulse konnen eine im 
Stromkreis des Motors liegende Schaltvorrichtung steuern. Wenn die Schaltvor- 
richtung keihe Impulse mehrerhalt, bleibt der Motor stehen. Nach einer Aktivie- 
rung der Sicherheitsfunktion mu(i der digitale Signalprozessor wieder bewulit 

3 0 aktiviert werden, d.h. nicht automatisch. Dies kann Qber einen Rucksetzan- 
schluB erfolgen, z.B. durch manuelle Betatigung eines Schalters. 
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Ober die Anschlusse konnen ferner Sicherheits-Ruckmeldungssignale aus der 
Motorsteuerung oder uber den Sicherheitsbus zu den externen Sicherheitsfunk- 
tionseinheiten ubertragbar sein. Wenn es sich um Sicherheitsfunktionseinheiten 
5 mit einer gewissen "Intelligenz" handelt, ist es von Vorteil, wenn diese ein Si- 
cherheits-RUckmeldungssignal erhalten konnen. 

Vorzugsweise ist wenigstens eine derfolgenden externen Sicherheitsfunktions- 
einheiten vorgesehen: ein Drehzahlsensor zur Begrenzung der Drehzahl des 
10 Motors, ein Not-Halt-Geber, wie eine Sicherheits-Lichtschranke oder ein Tur- 
Schalter, ein Drehmomentsensor zur Begrenzung des Drehmoments des Mo- 
tors, eine Ventileinheit, ein Aktuator, eine mechanische Bremse auf der Motor- 
welle oder ein manuell betatigbarer Schalter zum Anhalten des Motors. 

15 Die Erfindung und ihre Weiterbildungen werden nachstehend anhand der bei- 
liegenden Zeichnungen bevorzugter Ausfuhrungsbeispiele und Abwandlungen 
dieser AusfQhrungsbeispiele naher beschrieben. In den Zeichnungen stellen 
dar: 

20 Fig. 1 



Fig. 2 

25 

Fig. 3 
Fig. 4 
3 0 Fig. 5 



ein schematisches Blockschaltbild einer erfindungsgemaften Mo- 
torsteuerung fur einen elektrischen Motor mit einer erfindungsge- 
maften Sicherheitsvorrichtung, 

eine Abwandlung der Sicherheitsvorrichtung nach Fig. 1, 
eine weitere Abwandlung der Sicherheitsvorrichtung nach Fig. 1 , 
eine dritte Abwandlung der Sicherheitsvorrichtung nach Fig. 1 , 
eine vierte Abwandlung der Sicherheitsvorrichtung nach Fig. 1, 



WO 2004/059812 



PCT/DK2003/000873 



-5- 



Fig. 6 eine erfindungsgemafie Vorrichtung zum selbsttatigen Prufen der 

Funktionsfahigkeit einer Sicherheits-Schaltvorrichtung in der erfin- 
dungsgemaBen Sicherheitsvorrichtung und ein zugehoriges Im- 
pulsdiagramm, 

Fig. 7 eine Abwandlung der Prufvorrichtung nach Fig. 6 mit einem zuge- 

horigen Impulsdiagramm, 

Fig. 8 ein veraligemeinertes Blockschaltbild der Prufvorrichtung nach 

den Fig. 6 und 7 mit zugehorigen Impulsdiagrammen, 

Fig. 9 ein Schaltbild einer abgewandelten erfindungsgemafien Prufvor- 

richtung fur die Funktionsfahigkeit von Ein- und Ausgangen einer 
der in Fig. 5 dargestellten Sicherheits-Schalt-vorrichtungen mit zu- 
gehorigen Impulsdiagrammen, 

Fig. 10 ein Schaltbild einer weiteren Abwandlung einer Vorrichtung zum 
Prufen der Funktionsfahigkeit einer Sicherheits-Schaltvorrichtung 
mit zugehorigen Impulsdiagrammen, 

Fig. 1 1 ein Schaltbild einer weiteren erfindungsgemafien Vorrichtung zur 
Priifung der Funktionsfahigkeit einer Sicherheits-Schaltvorrichtung 
mit zugehorigen Impulsdiagrammen und 

Fig. 12 schematisch einen Elektromotor mit einer erfindungsgemaiien 
Motorsteuerung in Form eines Umrichters. 



Die Motorsteuerung 1 nach Fig. 1 enthalt eine Sicherheitsvorrichtung 4, die mit 
einer Steuereinrichtung 2, hier einem Umrichter, verbunden ist und an die eine 
benutzerseitige, externe, d.h. aufierhalb der Motorsteuerung 1 angeordnete, 
Sicherheits- und Oberwachungsschaltung 5 angeschlossen ist. Die Steuerein- 
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richtung 2 ist dem Motor 3 zugeordnet und enthalt eine Schwachstrom- 
Steuereinheit 6 auf einer Karte 7 (Platine) - weiterhin auch "Steuerkarte" ge- 
nannt - und eine Starkstrom-Steuereinheit 8 (auch "Leistungs-Steuereinheit" 
genannt) auf einer Starkstrom-Steuerkarte 9 (auch "Leistungs-Steuerkarte" ge- 
5 nannt). 

Die Schwachstrom-Steuereinheit 6 enthalt einen digitalen Signalprozessor 
(DSP) 10, der einen Pulsdauermodulator (PDM) 1 1 autweist und mit einem Mi- 
kroprozessor (|jP) 12 Qber die als Doppelpfeil dargestelite Verbindung kommu- 
io niziert. 

Die Starkstrom-Steuereinheit 8 enthalt einen Wechselrichter 13, der Leistungs- 
Halbleiterschaltelemente, hier sogenannte IGBTs (IGBT = Insulated Gate Bipo- 
lar Transistor), in Dreiphasen-Bruckenschaltung aufweist Ferner enthalt die 

15 Starkstrom-Steuereinheit 8 einen Schaltimpuls-Treiber 14, der Steueranschlus- 
sen der Leistungs-Halbleiterschaltelemente des Wechselrichters 13 Qber eine 
der Anzahl der Leistungs-Halbleiterschalt-elemente entsprechende Anzahl von 
Treiberstufen Schalt-impulse zur Steuerung der Leistungs-Halbleiterschalt- 
elemente zufuhrt. Der Schaltimpuls-Treiber 14 enthalt Trenntransformatoren fQr 

20 eine sichere, potentialfreie Verbindung der Schwachstrom- oder Niederspan- 
nungsseite mit der Starkstrom- oder Hochspannungsseite. Die Schaltimpulse 
werden durch den digitalen Signalprozessor 10 in Verbindung mit dem Mikro- 
prozessor 12 erzeugt und durch den Pulsdauermodulator 1 1 in ihrer Dauer so 
moduliert, da(i der Motor 3 Qber den Wechselrichter 12 als Betriebsstrom einen 

25 etwa sinusformigen Dreiphasenstrom erhalt, dessen Frequenz dem Sollwert der 
Drehzahl entspricht. Der Mikroprozessor 12 sorgt u.a. ferner daftir, dali ein Ge- 
rat oder eine Anlage, beispielsweise eine Pumpe oder ein Aufzug, entspre- 
chend den Belastungsanforderungen mit der jeweils erforderlichen Drehzahl 
angetrieben wird. Der digitale Signalprozessor 10 steuert u.a. die durch den 

3 0 Pulsdauermodulator 11 ausgefuhrte Pulsdauermodulation. 
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Auf der Karte 9 ist ein weiterer Mikroprozessor 1 5 angebracht. Neben der Ver- 
arbeitung von Mefcsignalen von StrCmen, Spannungen, Temperaturen und der 
Steuerung eines Ventilators dient er auch der Prtlfung der Funktionsfahigkeit 
der Sicherheitsvorrichtung 4, genauer gesagt einer in ihr enthaltenen Si- 
5 cherheits-Schaltvor-richtung. Die Prufung der Funktionsfahigkeit besteht im we- 
sentlichen darin, festzustellen, ob ein Halt-Signal oder Haltbefehlsignal, bei 
dessen Zufuhrung aus der externen Sicherheits- und Uberwachungsschaltung 5 
letztlich der Motor 3 anhalten soil, ohne unabsichtlich wieder anzulaufen, tat- 
sachlich wirksam war. Falls der Motor 3 nach Abgabe eines Haltbefehlssignals 
10 nicht anhalt bzw. keine Anhaltaktivitaten in der Motorsteuerung in Gang gesetzt 
werden, fuhrt der Mikroprozessor 15 dem Mikroprozessor 12 uber eine Busver- 
bindung 16 ein Halt-Signal zu, das durch den Mikroprozessor 12 und den digita- 
len Signalprozessor 10 ausgefuhrt wird. 

15 Die Sicherheitsvorrichtung 4 enthalt auf einer Karte 18, weiterhin auch "Opti- 
onskarte" genannt, eine Sicherheits-Schaltvorrichtung 19 mit einem Relais 20, 
Transistoren 21 und 22 sowie eine Verzogerungseinrichtung aus zwei Verzoge- 
rungsgliedern 23 und 24, deren Verzogerungszeit durch Einstellvorrichtungen 
25 und 26 einstellbar ist. 

20 

Das Relais 20 hat drei Kontakte 27, 28 und 29, die hier im stromlosen Zustand 
der Spule 30 des Relais dargestellt sind. Der Kontakt 27 ist uber Leitungen 31 , 
32 mit dem Mikroprozessor 15 verbunden. Der Kontakt 29 liegt im Betriebs- 
stromkreis 33 des Schaltimpuls-Treibers 14. Der Kontakt 28 ist uber AnschlOsse 

2 5 34 einer AnschluRleiste 35 auf der Karte 18 mit einer Prufspannung uber die 

Sicherheits- und Oberwachungsschaltung 5, die z.B. in einem Schaltschrank 17 
angeordnet ist, verbunden. Der Transistor 21 liegt in Reihe mit der Spule 30 des 
Relais 20 an einer Betriebsspannung U B i von beispielsweise 24 V und ist uber 
Anschlusse "Relais" und "Erde", die zum Anschlieften eines Schalters 36, hier 

30 eines Kontakts eines Relais, in der externen Sicherheits- und Oberwachungs- 
schaltung 5 und "Erde" dienen, sowie Uber den Schalter 36 mit "Erde" verbun- 
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den. Ein zur Auslosung eines gewohnlichen Halt-Signals zum Anhalten des Mo- 
tors 3 betatigbarer Schalter 40 in der Sicherheits- und Oberwachungsschaltung 
5 ist uber eine Leitung 41 und einen Anschlufc "Rampen-Generator-Eingang" 
auf der Karte 7 mit einem Rampengenerator im Mikroprozessor 12 verbunden. 

5 

An weiteren Anschlussen 42 und 43 der Anschlulileiste 35, die einerseits je- 
weils mit einem Eingang des Verzogerungsglieds 23 bzw. 24 zu deren Auslo- 
sung Qber eine Leitung 44 bzw. 45 verbunden sind, sind andererseits separate 
Ausgangsleitungen 46 der Sicherheits- und Oberwachungsschaltung 5 ange- 
10 schlossen. 

An einer Verbindung 47 des Pulsdauermodulators 11 mit dem Schaltimpuls- 
Treiber 14 ist ein Sensor 48 zum Messen der (Folge-)Frequenz der dem Schalt- 
impuls-Treiber 14 zugefCihrten Schaltimpulse als Mali fur die Drehzahl des Mo- 
15 tors 3 angeschlossen. Das Frequenz-Mefcsignal wird uber eine Leitung 49 ei- 
nem weiteren Eingang des Mikroprozessor 15 zugefuhrt. 

Die Karten 7 und 18 und ihre darauf angebrachten Schaltungsanordnungen 
sind durch einen Verbinder 50, hier einen Steckverbinder, der Anschlusse a, b, 
c ... g aufweist, verbunden, wobei die Verbindungsleitungen 31 , 32, 33, 37 zur 
Vereinfachung der Darstellung aulierhalb des Verbinders 50 dargestellt sind. 
Anstelle eines Steckverbinders 50 kann die Verbindung der Karten 7 und 18 
auch mittels eines an seinen Enden mit Steckkontakten versehenen Kabels, 
insbesondere Flachkabels, zwischen Aufnahmekontakten an den Karten 7 und 
18 hergestellt werden. Desgleichen konnen die Karten 7 und 9 bzw. die auf ih- 
nen angebrachten Schaltungsanordnungen durch einen Verbinder, wie den 
Verbinder 50, oder ein Steckverbindungskabel verbunden sein. Die auf den 
Karten 7 und 9 angeordneten Schaltungsanordnungen konnen aber auch ge- 
meinsam auf einer einzigen Karte (Platine) angeordnet sein, so dali ein Verbin- 
der zum Verbinden der Karten 7 und 9 entfallen kann. 
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Die gesamte Schaltungsanordnung auf den Karten 7 und 9 ist so ausgebildet, 
dafi sie, wenn die Karte 18 nicht angeschlossen ist, als normale Motorsteue- 
rung, hier als Umrichter, ohne Sicherheitsfunktion wirkt. Ist die Karte 18 dage- 
gen angeschlossen, was vorzugsweise ab Fabrik vorgesehen, aber auch durch 
5 eine Nachriistung moglich ist r so wechselt die Funktion der Motorsteuerung 1 
bzw. des Umrichters von einer "gewohnlichen Funktion" in eine solche mit "Si- 
cherheitsfunktion", im vorliegenden Fall in die Funktion "sicherer Halt". Die Kar- 
te 18 wird daher auch als "Optionskarte" bezeichnet, da sie zusatzlich eine Si- 
cherheitsfunktion ermoglicht. Das Vorhandensein der Karte 18 wird durch Mes- 
10 sen einer Spannung an einem der Anschlusse a-g, z.B. an dem AnschluB a, 
uberpruft. Wenn die Karte 18 nicht angeschlossen ist, liegt am Anschluli a eine 
hohe, andernfalls eine niedrige Spannung an. 

Der Mikroprozessor 15 ist dabei so programmiert, dafc er ohne Optionskarte 18 
15 nur seine Qbliche Funktion im Regelkreis, hier Drehzahl-Regelkreis, wahmimmt 
und bei angeschlossener Optionskarte 18 auch zur Sicherheitsfunktion beitragt 
und funktionsmaftig einen Teil der Sicherheitsvorrichtung 4 bildet. 

Die Sicherheitsvorrichtung 4 kann auf weitere Sicherheitsfunktionen ausgelegt 
20 sein, z.B. kann sie auf ein "Not-Aus"-, ein Lichtschranken-, Drehzahlgrenzwert- 
uberschreitungs-, Sicherheitsbus- Oder ein Signal anderer Sensoren, das das 
Anhalten des Motors verlangt, ansprechen. Diese Signale konnen aus der Si- 
cherheits- und Oberwachungsschaltung 5 zufiihrbar sein. Als Beispiel wird an- 
hand von Fig. 1 nur das Ansprechen auf ein Halt-Signal uber den Schalter 40 
25 eriautert, der beispielsweise durch Einschalten eines Relais in der Schaltung 5 
geschlossen werden kann, um den Motor 3 anzuhalten. 

So kann eine nicht dargestellte Pumpe, die von dem Motor 3 angetrieben wird, 
ein Oberiaufen bewirken, das von einem Sensor gemeldet wird und ein Reiais 
30 in der Schaltung 5 betatigt, das daraufhin den Schalter 40 schlielit, so da& dem 
Mikroprozessor 12 uber den Schalter 40, die Leitung 41 und den Rampen- 
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Generator-Ein-gangsanschluR ein Signal zugefuhrt wird, das im Mikroprozessor 
12 einen Rampensignalgenerator bzw. eine gleichwirkende programmierte 
Funktion des Mikroprozessors 12 ausldst, durch den bzw. die ein rasch bis auf 
Null abnehmendes Drehzahl-Sollwert-Signal, ein "Rampen-Signar, in der Steu- 
5 ereinheit 6 bewirkt, dali die Drehzahl des Motors 3 entsprechend rasch ab- 
nimmt, bis er stillsteht Oder nach dem Verschwinden des Rampen-Signals auf- 
grund seiner Massentragheit auslauft. 

Hierbei gibt der Mikroprozessor 12 das Rampen-Signal an den digitalen Signal- 
10 prozessor 10 weiter, der den Pulsdauermodulator 1 1 stetig abschaltet, so daft 
dem Schaltimpuls-Treiber 14 und damit auch den Schaltelementen im Wechsel- 
richter 13 zum SchlulS keine weiteren Schaltimpulse zugefuhrt werden. Gleich- 
zeitig mit dem Schlielien des Schalters 40 wird, bei weiterhin geschlossenen 
Schaltern 36 und 39 der Sicherheits- und Oberwachungsschaltung 5, uber die 
15 Leitungen 46, die Anschlusse "Verzogerungsglied-Auslosung" und die Leitun- 
gen 43, 44 den Ausloseeingangen der Verzogerungsglieder 23 und 24 jeweils 
ein Auslosesignal zugefuhrt. Im Normalbetrieb halten die Verzogerungsglieder 
23 und 24 die Transistoren 21 und 22 durchgesteuert, so dali ein Strom durch 
die Relaisspule 30 flieftt und die Kontakte 27, 28 geoffnet sind, dagegen der 

2 0 Kontakt 29 geschlossen ist. Nach Ablauf der Verzogerungszeit sperrt das Ver- 

zogerungsglied 23 den Transistor 21 1 , so da(S das Relais 20 abfallt, der Kontakt 
29 geoffnet und der Betriebsstrom des Schaltimpuls-Treibers 14 unterbrochen 
wird. Gleichzeitig werden die Kontakte 27 und 28 geschlossen. Die Verzoge- 
rungszeit des Verzogerungsglieds 23 entspricht etwa der Dauer des Herunter- 
25 fahrens des Motors 3, einschliefclich der Ansprechverzogerungszeit des Relais 
20. Das Abschalten bzw. das Unterbrechen des Betriebsstroms des Schaltim- 
puls-Treibers 14 erfolgt mithin, wenn die Motordrehzahl Null oder nahezu Null 
ist. Statt alle Treiberstufen abzuschalten, konnen auch nur diejenigen abge- 
schaltet werden, die die mit dem positiven oder mit dem negativen Pol der Be- 

3 0 triebsspannung des Wechselrichters 13 verbundenen "oberen" oder "unteren" 

Leistungs-Schaltelemente des Wechselrichters 13 steuern. 
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Das andere Verzogerungsglied 24 erzeugt nach Ablauf seiner Verzogerungs- 
zeit, die gleich der des Verzogerungsglieds 23 ist, ein redundantes Abschaltsig- 
nal. Dieses Signal sperrt den Transistor 22, wodurch dem Rucksetzeingang R 
5 ein RQcksetzsignal (Spannung Null) zugefuhrt wird, so dali auch der Betrieb 
des digitalen Signalprozessors 10 und des Pulsdauermodulators 11 eingestellt 
wird und mithin der Schaltimpuls-Treiber 14 auch keine Schaltimpulse mehr 
erhSIt Gleichzeitig mit dem Abschaltsignal meldet das Verzogerungsglied 24 
uber einen AnschluR "RQckmeldung" der Anschlufcleiste 35 an die Sicherheits- 
10 und Oberwachungsschaltung 5 zuruck, daft es das Abschaltsignal abgegeben 
hat. In Speicher-einrichtungen der Einstellvorrichtungen 25 und 26 liegen die 
Verzogerungszeiten abrufbereit. 

Zusatzlich zu dem Halt-Signal uber den Schalter 40 erhalt die Steuereinrichtung 
15 2 zur Erhohung der Sicherheit mithin noch zwei weitere (redundante) Halt-Sig- 
nale, urn mit hoher Sicherheit zu gewahrleisten, dad dem Motor 3 - nach der 
Abgabe des Halt-Signals uber den Schalter 40 - keine Betriebsenergie uber die 
Steuereinrichtung 2 bzw. den Umrichter zugefuhrt wird und der Motor 3 nicht 
nur anhalt, sondern auch nicht wieder anlauft. 

20 

Die Kontakte 27 und 28 des Relais 20 dienen zur RQckmeldung und Oberpru- 
fung, dalS bzw. ob das Verzogerungsglied 23 tatsSchlich ein Abschaltsignal ab- 
gegeben hat. Nach dem Abfallen des Relais 20 prtift der Mikroprozessor 15 den 
Schaltzustand des Kontakts 27, indem er versucht, ein Signal uber den Kontakt 

2 5 27 zu leiten. Wenn der Kontakt 27 ein Signal durchlalSt, interpretiert der Mikro- 

prozessor 15 dies so, dali der Kontakt 27 geschlossen ist und der Kontakt 29 
den Betriebsstrom des Schaltimpuls-Treibers 14 tatsachlich unterbrochen hat. 
Ober den mit der Anschlufcleiste 35 verbundenen Kontakt 28 des Relais 20 lei- 
tet die externe Sicherheits- und Oberwachungsschaltung 5 die Prufspannung. 

3 0 Wenn die Prufspannung durchgelassen wird, wird dies von der Sicherheits- und 

Oberwachungsschaltung 5 als RQckmeldung bzw. Bestatigung interpretiert, dali 
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der Kontakt 29 geoffnet, der Steuereinrichtung 2 ein Abschaltsignal zugefuhrt 
bzw. der Betriebsstrom des Schaltimpuls-Treibers 14 unterbrochen und mithin 
der Motor 3 angehalten wurde. 

5 Der Mikroprozessor 1 5 pruft ferner uber die Leitung 37, ob die Spannung an der 
Relaisspule 30 durch das Sperren des Transistors 21 angestiegen ist. Wenn 
dies der Fall ist, und Kontakt 27 auch geschlossen ist, ist alles in Ordnung. Falls 
der Kontakt 27 nicht geschlossen wurde, liegt ein Fehler in der Sicherheitsvor- 
richtung 4 vor, und der Mikroprozessor 15 lost ein Alarmsignal aus. 

10 

In Anwendungsfallen mit hohen Sicherheitsanforderungen, werden Ruckmelde- 
oder Bestatigungssignale, wie sie uber die Kontakte 27 und 28 abgegeben wer- 
den, an die exteme Sicherheits- und Oberwachungsschaltung 5 geleitet, die 
wiederum die Hauptstromversorgung der Motorsteuerung 1 unterbricht, wenn 
15 wider Erwarten kein Ruckmeldesignal in der externen Sicherheits- und Oberwa- 
chungsschaltung 5 eintrifft. Um eine verfruhte Unterbrechung der Hauptstrom- 
versorgung zu verhindern, ist daher auch in der externen Sicherheits- und 
Oberwachungsschaltung 5 ein Verzogerungsglied vorgesehen, das erst nach 
Ablaut seiner Verzogerungszeit eine Betriebsunterbrechung zulafct. Anstelle 

2 o dieses Verzogerungsglieds kann auch ein Relais mit entsprechend hoher An- 

sprechverzogerung zum Auslosen der Betriebsunterbrechung in der Sicher- 
heits- und Oberwachungsschaltung 4 vorgesehen sein. 

Die Verzogerungsglieder 23 und 24 konnen jeweils als integrierte Schaltung 
25 beispielsweise vom Typ 555 ausgebildet sein, die nach Ablauf der Verzoge- 
rungszeit einen Transistor spent. Die Verzogerungszeit kann ferner fest vorge- 
geben sein, z.B. in einem Speicherelement. Sie kann aber auch durch 
umsteckbare Steckverbindungen auf der Karte 18 oder mittels eines Potentio- 
meters durch den Benutzer einstellbar sein. Alternativ kann sie durch die exter- 

3 0 ne Sicherheits- und Oberwachungsschaltung 5 uber die Anschlulileiste 35 vor- 

gegeben werden. Ferner ist es moglich, die Verzogerungszeit dynamisch als 
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Funktion der Drehzahl und/oder der Massentragheit des Motors 3 selbsttatig 
einstellbar vorzugeben. Eine Alternative zur Ausbildung mit diskreten Baustei- 
nen bestehtdarin, die Verzogerungseinrichtung durch eine Software in einem 
Mikroprozessor zu realisieren. 

5 

Uber die Schalter 36 und 39 in der benutzerseitigen Sicherheits- und Uberwa- 
chungsschaltung 5 kann jeweils unverzogert ein Halt ausgelost werden. So 
kann der Benutzer an die Anschliisse "Relais" und "Erde" bzw. "Relais" und 
"Ub3 m (U B 3 = z.B. 5 V) jeweils einen Oberwachungsschalter anschliefien, z.B. 
io einen Lichtschranken-Schalter, bei dessen Betatigung der Stromkreis der Re- 
laisspule 30 - ohne Verzogerung durch das Verzogerungsglied 23 - unterbro- 
chen bzw. die Ruckstellung des digitalen Signalprozessors 10 uber seinen 
Ruckstelleingang R ohne Verzogerung durch das Verzogerungsglied 24 ausge- 
lost wird. Die Verzogerungsglieder 23 und 24 werden dadurch Gbersteuert. 

15 

Die Motorsteuerung 1 nach Fig. 2 ist gegenuber der in Fig. 1 dargestellten inso- 
fern abgewandelt, als eine zusatzliche Sicherheitsfunktion, die Drehzahluber- 
wachung nach der Norm IEC 61800-5, auf der Optionskarte 18 impiementiert 
ist. Sie dient der Oberwachung der Motordrehzahl, um den Betrieb der Steuer- 

20 einrichtung 2 und damit den Betrieb des Motors 3 moglichst rasch anzuhalten, 
wenn die Drehzahl einen vorgegebenen Grenzwert uberschreitet. Die Dreh- 
zahliiberwachung ist insbesondere bei der Inbetriebnahme grofterer Anlagen 
vorteilhaft, um den Motor 3 zur Durchfuhrung eines Tests der Anlage oder, 
wenn eine Wartung wahrend des Betriebs durchgefuhrt werden muB, nur mit 

25 beispielsweise 30 % seiner Nennbetriebsdrehzahl betreiben zu konnen. Durch 
die Drehzahluberwachungseinrichtung wird der Betrieb der Steuereinrichtung 2 
und damit der des Motors 3 angehalten, sobald die vorgegebene Drehzahlgren- 
ze uberschritten wird. 

3 0 Um die Drehzahluberwachung in "sicherer Technik" zu realisieren, sind drei 

Drehzahlsignale vorgesehen. Zwei Drehzahlsignale werden durch unmittelbare 
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Messung der Drehzahl mittels zweier Drehzahlsensoren 51 und 51' an der Mo- 
torwelle erzeugt und das dritte aus der Folgefrequenz der pulsdauermodulierten 
Ausgangsimpulse des Pulsdauermodulators 11 mittels des Drehzahlsensors 48 
abgeleitet und dem Mikroprozessor 15 uber eine Leitung 49 zugefuhrt. Die Ab- 
5 leitung des Drehzahlsignals aus der Folgefrequenz der Schaltimpulse ist auf 
einfache Weise moglich. Eine Moglichkeit besteht darin, die Spannung an der 
Verbindung 47 zu messen und mit einem vorgegebenen U/f-Verhaltnis zu ver- 
gleichen. Dadurch kann die Frequenzf ermittelt werden. Dieses Verfahren ist 
aber nur bei Umrichtern mit U/f-Steuerung moglich. 

10 

Auf der Optionskarte 18 ist ein Transistor 52 mit dem Transistor 21 in Reihe 
geschaltet und ein Drehzahluberwacher 53 ausgangsseitig mit der Basis des 
Transistors 52 verbunden Oder mit diesem integriert. Eingangsseitig ist der 
Drehzahluberwacher 53 Qber Anschlusse "Sensor-Eingang" der Anschlufileiste 
15 35 mit dem Drehzahlsensor 51 verbunden. Die Reihenschaltung der Transisto- 
ren 21 und 52 bildet ein ODER-Glied. Wenn daher das Verzogerungsglied 23 
den Transistor 21 Oder der Drehzahluberwacher 53 den Transistor 52 sperrt, 
wird der Kontakt 29 des Relais 20 geoffnet und der Betriebsstromkreis 33 des 
Schaltimpuls-Treibers 14 unterbrochen. 

20 

Wie bei dem Ausfuhrungsbeispiel nach Fig. 1 ist auf der Optionskarte 18 das 
redundante Verzogerungsglied 24 und zusatzlich ein redundanter Drehzahl- 
uberwacher 54 angeordnet, der einen mit dem Transistor 22 in Reihe liegenden 
Transistor 55 sperrt, wenn das ihm ebenfalls uber Anschlusse "Sensor- 
25 Eingang" zugefuhrte Drehzahlsignal des Drehzahlsensors 51 1 den vorgegebe- 
nen Drehzahlgrenzwert uberschreitet. 



Auch bei diesem Ausfuhrungsbeispiel kann der Benutzer mittels der wahrend 
des Betriebs geschlossenen Schalter 36 und 39 durch Offnen des Schalters 36 
30 oder 39 den Betrieb des Umrichters und damit des Motors 3 direkt, unter Ober- 
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steuerung der Verzogerungsglieder 23, 24 und der Drehzahluberwacher 53, 54, 
anhalten. 

Bei der Abwandlung nach Fig. 3 ist die Sicherheitsvorrichtung 4 des Ausfuh- 
5 rungsbeispiels nach Fig. 2 durch eine weitere Sicherheitsfunktion "sicherer Bus" 
erweitert, wobei das in Fig. 2 dargestellte zweite Verzogerungsglied 24 und der 
zweite Drehzahluberwacher 54 mit den Transistoren 22 und 55 zur Vereinfa- 
chung der Darstellung in Fig. 3 weggelassen sind. 

10 Sicherheitsbusse sind gewohnliche Kommunikationsbusse, die durch eine Si- 
cherheitsfunktion erweitert sind. Bei diesem Ausfuhrungsbeispiel ist als Sicher- 
heitsbus 56 der Bus Profisafe® vorgesehen, der die "sichere" Version des so- 
genannten "Profibusses" ist. "Profibus" ist ein bekanntes Bus-Protokoll fur die 
Kommunikationsbusse zwischen Anlagenelementen, wie Motorsteuerungen 

15 und speicherprogrammierbaren Steuerungen (SPS). Auch andere Busse, wie 
CANopen Safety, AS-i Safety at Work, Device-net Safe, Interbus Safety, verfu- 
gen uber sogenannte "sichere Technik". Der hier dargestellte Sicherheitsbus 56 
ermoglicht eine Kommunikation tiber ein zweiadriges Kabel und ist uber einen 
Anschluft "Sicherheitsbus" der Anschlulileiste 35 mit einem Buscontroller 57 

20 verbunden. Die Redundanz eines Abschaltsignals Qber den Sicherheitsbus 56 
wird durch zwei Mikroprozessoren 58 und 59 sichergestellt. Der Buscontroller 
57 uberwacht die Kommunikation. Falls irgendwo in einer Fabrikanlage ein Feh- 
ler auftritt und der dort oder entfernt installierte Motor 3 angehalten werden 
muli, wird uber den Sicherheitsbus 56 und den AnschluR "Sicherheitsbus" auf 

25 der Optionskarte 18 ein Halt-Signal zum Buscontroller 57 ubertragen, und von 
diesem weiter uber den Mikroprozessor 58 und den Mikroprozessor 59 uber 
eine Verbindung 60 zum Mikroprozessor 12 auf der Karte 7, der wiederum dem 
Rucksetzeingang R ein Rucksetzsignal zufuhrt, so dali die Energiezufuhr zum 
Motor 3 unterbrochen wird. 

30 
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Mit den Transistoren 21 und 52 liegt ein weiterer Transistor 61 in Reihe im 
Stromkreis der Relaisspule 30. Der Mikroprozessor 58 fuhrt dem Transistor 61 
ein weiteres (redundantes) Halt-Signal zu, so daft der Transistor 61 gesperrt 
wird und das Relais 20 abfallt. 

5 

Somit werden vom Sicherheitsbus 56 aus zwei Halt-Signale erzeugt, die fur den 
sicheren Halt des Motors 3 sorgen. 

Der Mikroprozessor 12 kann ferner so programmiert und angeschlossen sein, 
10 daft er auch die Funktionssicherheit des Relais 20 und der Signalubertra- 

gungswege der Sicherheitsvorrichtung 4 pruft. Der Mikroprozessor 58 kann fer- 
ner so programmiert sein, daft erdie Signal-ubertragung uber den Sicherheits- 
bus durch ein CRC-Verfahren (Cyclic Redundancy Check) Uberpruft. 

15 Bei dem Ausfiihrungsbeispiel nach Fig. 4 ist im Unterschied zu den Ausfuh- 
rungsbeispielen nach den Fig. 1 bis 3 auf der Karte 9 kein Mikroprozessor vor- 
gesehen. Vielmehr ist die Funktion des Mikroprozessors 15 in die des Mikro- 
prozessors 12 durch entsprechende Programmierung einbezogen. Es istdaher 
moglich, im Falle eines Defekts in der Starkstrom-Steuereinheit 8 die Karte 9 

2 o mit der Starkstrom-Steuereinheit 8 ohne den Mikroprozessor 1 5 auszuwech- 

seln. 

Ferner hat das Relais 20 nur die beiden Kontakte 28 und 29. Die Kontakte 28 
und 29 sind im Normalbetrieb bei stromfuhrender Relaisspule 30 geschlossen 
25 und verbinden die Betriebsspannung Ub2 mit dem Schaltimpuls-Treiber 14, hier 
dem primarseitigen Schaltimpuls-Treiber 14i des in den primarseitigen und ei- 
nen sekundarseitigen Schaltimpuls-Treiber 14 2 unterteilten Schaltimpuls- 
Treibers 14. Der primarseitige Schaltimpuls-Treiber 14i und der sekundarseitige 
Schaltimpuls-Treiber 14 2 sind uber einen Transformator 62 zur Potentialtren- 

3 o nung induktiv gekoppelt 



WO 2004/059812 



PCT/DK2003/000873 



-17- 

Die Sicherungs- und Oberwachungsschaltung 5 enthalt zusatzlich zu den 
Schaltern 36 und 40 weitere Schalter 63, 64 und 65. Die Betriebsspannung U B 4 
liegt an dem einen Anschluft der Schalter 36, 63 und 64. Die anderen An- 
schlusse der Schalter 63 und 64 sind uber die Anschlusse "Verzogerungsglied- 
5 Auslosung" der Anschlulileiste 35 jeweils mit einem Ausloseeingang der Verzo- 
gerungsgiieder 23 und 24 verbunden. Der Schalter 65 ist mit seinem anderen 
Anschluft uber den Anschlufi "Sicher-heitskanal M" mit dem einen Eingang ei- 
nes INHIBIT-Glieds 66 verbunden. Das Verzogerungsglied 24 ist ausgangssei- 
tig mit dem anderen Eingang des INHIBIT-Glieds 66 verbunden. Der Ausgang 

10 des INHIBIT-Glieds 66 ist mit dem Rucksetzeingang R des Pulsdauermodula- 
tors 1 1 bzw. des DSP 10 und Qber eine Trennstufe 68, hier einen hochohmigen 
Widerstand, mit einem Eingang des Mikroprozessors 12 verbunden. Die Leitung 
33 ist ebenfalls Qber eine Trennstufe 67 mit einem Eingang des Mikroprozes- 
sors 12 verbunden. Ein Sensor 69 miftt die Spannung an der Verbindung 47 

15 und fuhrt den MefJwert uber eine Leitung 70 einem Umsetzer 71 auf der Karte 
18 zu. Der Ausgang des Umsetzers 71 ist uber einen Anschlufi "Sicherheits- 
ruckmeldung IT der Anschlulileiste 35 mit der Sicherheits- und Oberwachungs- 
schaltung 5 verbunden. Der Umsetzer 71 setzt die PDM-Signale in ein EIN- 
oder AUS-Signal um. 

20 

Die Wirkungsweise des Ausfuhrungsbeispiels nach Fig. 4 ist weitgehend die 
gleiche wie die der vorhergehenden Ausfuhrungsbeispiele. Wenn ein Halt- 
Signal der Sicherheits- und Oberwachungsschaltung 5 zugefuhrt wird, schliefit 
der Schalter 40, und es wird der Rampengenerator im Mikroprozessor 12 uber 

25 den Schalter 40 eingeschaltet, so dali der Motor 3 heruntergefahren wird. 

Gleichzeitig werden die Schalter 63 bis 65 geschlossen. Dadurch werden die 
Verzogerungsglieder 23 und 24 ausgelost, und dem INHIBIT-Glied 66 wird ein 
Signal zugefuhrt, durch das dem Rucksetzeingang R ein Rucksetzsignal zuge- 
fuhrt wird. Nach Ablauf der Verzogerungszeit des Verzogerungsglieds 23 fallt 

30 das Relais 20 ab. Durch das Abfallen des Relais 20 werden die Schalter 28 und 
29 geoffnet, so dafi die Betriebsspannung U B 2 des Schaltimpuls-Treibers 14i 
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abgeschaltet wird und der Mikroprozessor 12 uber die Trennstufe 67 ein Signal 
erhalt. Durch dieses Signal wird das Offnen des Schalters 29 bestatigt. Nach 
Ablaut der Verzogerungszeit des Verzogerungsglieds 24 gibt dieses uber das 
INHIBIT-Glied 66 ein weiteres RQcksetzsignal an den RQcksetzeingang R ab, 
5 das den digitalen Signalprozessor 10 und den Pulsdauermodulator 1 1 zuruck- 
setzt. 

Qber die Trennstufe 68 wird das RQcksetzsignal zusatzlich dem Mikroprozessor 
12 zugefuhrt, der dieses Signal ben&tigt, urn nach einer Abschaltung der Steu- 

10 ereinrichtung 2 bzw. des Umrichters spater einen korrekten Start durchzufuh- 
ren. Nach Erhalt eines RQcksetzsignals speichert der Mikroprozessor 12 rele- 
vante Prozeftdaten, die bei Wiederinbetriebnahme verwendet werden. Die 
Trennstufen 67 und 68 dienen der Trennung der sicheren Signalelektronik von 
der gewohnlichen Betriebselektronik. Der Prozessor 12 Qberwacht den Sicher- 

15 heitskanal II, ob uber diesen ein Halt-Signal abgegeben wurde. Ein Elektronik- 
fehler im Mikroprozessor 12 soil nicht bewirken konnen, daft das Abschaltsignal 
auf dem Sicherheitskanal II nicht ankommt, was z.B. der Fall sein kann, wenn 
das Potential am Mikroprozessor 12 unerwunscht auf Erdpotential absinkt. Im 
einfachsten Fall ist die Trennstufe ein hochohmiger Widerstand. 

20 

Der Sensor 69 miftt die Spannung an der Verbindung 47 und fuhrt den Meftwert 
dem Umsetzer 71 auf der Karte 18 zu. Dieser vergleicht den Meftwert mit einem 
Bezugswert, und wenn der Meftwert unter dem Bezugswert liegt, dann meldet 
der Umsetzer 71 der Sicherheits- und Gberwachungsschaltung 5 uber den 

2 5 Anschluli "Sicherheits-ruckmeldung II", daft tatsachlich ein RQcksetzsignal ab- 

gegeben wurde und keine Schaltimpulse mehr auftreten. 

Bei dem Ausfuhrurigsbeispiel nach Fig. 5 sind die bei den vorherigen Ausfuh- 
rungsbeispielen vorgesehenen Verzogerungsglieder 23 und 24 jeweils durch 

3 0 Software, d.h. durch entsprechende Programmierung zweier uber eine Mehr- 

fachleitung M in Austauschverbindung stehender Mikroprozessoren 72 und 73 
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realisiert. Die Einstellung ihrer Verzogerungszeiten erfolgt weiterhin mittels der 
Einstellvorrichtungen 25 und 26. Mit den Mikroprozessoren 72 und 73 sind fer- 
ner zwei Sicherheits-Schaltvor-richtungen 74 und 75 verbunden, die jeweils nur 
einen Transistor aufweisen konnen, wie dargestellt, hier aber mehrere Transi- 
5 storen und erforderlichenfalls Widerstande aufweisen. Mogliche Ausfuhrungs- 
beispiele der Sicherheits-Schaltvorrichtungen 74 und 75 mit mehreren Transi- 
storen sind in den Fig. 7, 8, 9 und 1 0 dargestellt, die spater beschrieben wer- 
den. Die Funktionsfahigkeit dieser Sicherheits-Schaltvorrichtungen 74 und 75 
wird durch den jeweils mit ihnen verbundenen Mikroprozessor 72 bzw. 73 ge- 

10 pruft. Diese Mikroprozessoren 72 und 73 konnen, soweit es ihre Verzogerungs- 
funktion betrifft, funktionsmafiig auch als Teil der Sicherheits-Schaltvorrich- 
tungen betrachtet werden. Die Sicherheitsvorrichtung 4 auf der Optionskarte 18 
sorgt im wesentlichen fur die gesamte Funktionssicherheit, d.h. die der Soft- 
ware und der Hardware. Die ubliche Steuereinrichtung 2 ist mit den Siche- 

15 rungsaufgaben nicht belastet. Urn dies zu erreichen, wird die notige "sichere" 
Verdrahtung der Steuereinrichtung fabrikseitig ausgefuhrt. Auf den Karten 7 und 
9 werden Kupferbahnen aufgebracht, die Sicherheitssignale fur den "sicheren 
Halt" fiihren sollen, die aber erst beim AnschluB einer Optionskarte in Betrieb 
genommen werden. 

20 

Ein wesentlicher Aspekt bei diesem Ausfuhrungsbeispiel 1st der, daQ> alie we- 
sentlichen, zur Funktion der Sicherheitsvorrichtung 4 gehorenden Bauteile auf 
der Optionskarte 18 angeordnet sind, insbesondere die Mikroprozessoren 72 
und 73. Deren Software (Programm) braucht somit im wesentlichen nur auf die 

25 Durchfuhrung der Sicherheitsfunktionen und hier auch auf die Prufung der Si- 
cherheits-Schaltvorrichtungen 74, 75 abgestimmt zu sein. Die Software des 
Mikroprozessors 12 und des DSP 10 der Steuereinrichtung 2 braucht daher im 
wesentlichen nur auf die Steueraufgaben der Steuereinrichtung 2 abgestimmt 
zu sein. Eine Anderung der Software fQr den Betrieb der Steuereinrichtung 2 

3 o kann mithin im Hinblick auf den jeweiligen Anwendungsfall des Motors 3 durch- 
gefuhrt werden, ohne die Software der Sicherheitsvorrichtung 4 andern zu mus- 



WO 2004/059812 



PCT/DK2003/000873 



-20- 

sen, und umgekehrt. Dementsprechend ist die Software fur den Betrieb der 
Steuereinrichtung 2 in einem Speicherteil K 3 , K4 des Mikroprozessors 12 und 
des DSP 10 und die Software fiir den Betrieb der Sicherheitsvorrichtung 4 in 
einem Speicherteil K 1f K 2 der Mikroprozessoren 72 und 73 gespeichert. Ein wei- 
5 terer Vorteii der raumlichen Trennung der Programm-Speicherteile K1, K 2 und 
K 3 , K4 besteht darin, dali bei einem Defekt eines Bauteils der Steuereinrichtung 
2 oder der Sicherheitsvorrichtung 4 nur die jeweils defekte Karte 7, 9 oder 18 
gegen eine neue ausgewechselt zu werden braucht. Denn auch bei diesem 
Ausfuhrungsbeispiel sind die Karten 7 und 9 sowie 7 und 18 durch Steckverbin- 
10 dungen, wie den Verbinder 50 oder ansteckbare Kabel (Flachkabel) verbunden, 
die ein einfaches und rasches Auswechseln der betreffenden Karte ermogli- 
chen. 

Wie im AusfDhrungsbeispiel nach Fig. 4, sind auch bei der Abwandlung nach 
15 Fig. 5 zwei Sicherheitskanale I und II zur Auslosung eines sicheren Halts und 
zwei Sicherheitsruckmeldungskanale I und II zur Ruckmeldung (Bestatigung) an 
die externe, benutzerseitige Sicherheits- und Oberwachungsschaltung 5 (die in 
Fig. 5 zur Vereinfachung der Darstellung weggelassen ist), dali der "sichere 
Halt" tatsachlich erfolgt ist, vorgesehen. 

20 

So wird uber den Drehzahlsensor 51, den Anschluli "Sensoreingang" der 
Anschlulileiste 35 und einen Spannungspegeladapter SA ein Drehzahlsignal 
dem Mikroprozessor 72 zugefuhrt, der es mit einem gespeicherten Grenzwert 
vergleicht und uber einen Ausgang A1 der Sicherheits-Schaltvorrichtung 74 ein 

25 Abschaltsignal oder Halt-Signal zufuhrt. Wenn das Drehzahlsignal gleich dem 
oder grofter als der Grenzwert ist, unterbricht die Sicherheits-Schaltvorrichtung 
74 die Betriebsspannung U B 2 bzw. den Betriebsstromkreis 33 des Schaltimpuls- 
Treibers 14l Zusatzlich wird durch einen Sensor 76 der Ausgangsstrom des 
Wechselrichters 13 als Mali fur die Drehzahl gemessen und das Mefisignal ei- 

3 0 nem Umformer 77 uber eine Leitung 78 zugefuhrt. Dieser formt das Strommefi- 
signal I in eine diesem proportionate Frequenz f als Mali fur die Drehzahl urn 
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und fuhrt das Drehzahlsignal ebenfalls dem Mikroprozessor 72 zu. Der Mikro- 
prozessor 72 vergleicht das Drehzahlsignal mit dem gespeicherten Grenzwert 
und unterbricht gegebenenfalls die Betriebsspannung U B 2 bzw. den Betriebs- 
stromkreis 33 des Schalt-impuls-Treibers 14 1f wenn dies noch nicht erfolgt ist 
5 Gber einen Trennverstarker TR und den Anschlufi "Sicher-heitsruckmetdung I" 
der Anschlufileiste 35 meldet der Mikroprozessor 72 der Sicherheits- und 
Oberwachungsschaltung 5, ob die Unterbrechung der Betriebsspannung erfolgt 
ist oder nicht. Das zum Anschiufi "Sicherheits-ruckmeldung I" zuruckgefuhrte 
Signal wird ferner uber die Leitung 78i dem Mikroprozessor 73 zugefuhrt, der 
10 uberpruft, ob das Sicherheitsruckmeldesignal gegeben wurde. Falls dies wider 
Erwarten nicht gegeben wurde, liegt ein Fehler vor, und der Mikroprozessor 73 
meldet einen Fehler. 

Gber Anschlusse "Aktivierung DSF I (DSF = designierte Sicherheitsfunktion) 
15 und "Aktivierung DSF II" der Anschlufileiste 35 konnen seitens der externen 
Sicherheits- und Oberwachungsschaltung 5 ebenfalls Abschaltvorgange in Ab- 
hangigkeit von weiteren Oberwachungsfunktionen, wie der Oberwachung des 
Drehmoments, der Temperatur oder der Spannung des Motors 3 oder irgend- 
welcher anderer vorbestimmter oder gewQnschter Funktionen aktiviert werden, 
2 0 die wiederum uber den Mikroprozessor 72 oder den Mikroprozessor 73 und die 
Sicherheits-Schalt-vorrichtung 74 den "sicheren Halt" des Motors bewirken. 
Uber Anschlusse "Sicherheitskanal I" und "Sicherheits-kanal II" konnen in glei- 
cher Weise uber die internen Verzogerungseinrichtungen der Mikroprozessoren 
72 und 73 Abschaltbefehlsignale aus der externen Schaltung 5 der jeweiligen 

2 5 Sicherheits-Schaltvorrichtung 74 und 75 zugefuhrt werden. 

Wenn dem Mikroprozessor 73 uber den Anschluli "DSF II", fur den in diesem 
Beispiel eine direkte Abschaltfunktion programmiert ist, sowie uber einen Span- 
nungspegel-adapter SA ein Abschaltbefehlsignal oder Halt-Signal zugefuhrt 

3 o wird, betatigt der Mikroprozessor 73 Uber seinen Ausgang A4 die Sicherheits- 

Schaltvorrichtung 75. Daraufhin wird dem digitalen Signalprozessor 10 von der 
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Sicherheits-Schaltvorrichtung 75 Qber die Leitung 38 und den RQcksetzeingang 
R ein RQcksetzsignal zugefQhrt und die weitere Erzeugung von Schaltimpulsen 
durch den Pulsdauermodulator 1 1 unterbrochen. Mithin wird der Motor 3 an- 
gehalten. Das Signal am RQcksetzeingang R wird auflerdem uber die Leitung 
5 79 zu einem Eingang Ei des Mikroprozessors 72 und uber die Trennstufe 68 
zum Mikroprozessor 12 zuruckgefuhrt. Wenn nach Abgabe des Abschaltbefehl- 
signais kein RQcksetzsignal aufgetreten ist, meldetder Mikroprozessor 72 dies 
unter Umstanden uber seinen ausgangsseitigen Trennverstarker TR und den 
Anschluli "Sicherheitsruckmeldung I" der externen Sicherheits- und Oberwa- 
10 chungsschaltung 5 sowie dem Mikroprozessor 73 Qber die Leitung 78i als Zei- 
chen dafur, dali in der Sicherheitsvorrichtung 4 ein Fehler aufgetreten ist bzw. 
ein Defekt vorliegt. Unter alien Umstanden schaltet er ebenfalls Qber die Si- 
cherheits-Schaltvorrichtung 74 den Motor 3 ab. Zusatzlich miftt der Sensor 48 
am Ausgang des Pulsdauermodulators 1 1 bzw. auf der Verbindung 47 die Fre- 
15 quenz bzw. Drehzahl des Motors 3 und fQhrt das Melisignal dem Umsetzer 71 
Qber eine Leitung 80 zu. Wenn das Melisignal nicht einem RQcksetzsignal ent- 
spricht, meldet der Mikroprozessor 73 einen Fehler, der es Qber seinen aus- 
gangsseitigen Trennverstarker TR zum einen Qber den AnschluB "Sicherheits- 
rQckmeldung II" an die externe Sicherheits- und Uberwachungsschaltung 5 und 

2 o zum anderen Qber eine Leitung 81 an den Mikroprozessor 72 weiterleitet. Die 

Mikroprozessoren 72 und 73 fQhren mithin wechselseitig die gleichen PrOfun- 
gen aus und prOfen sich auch immer gegenseitig. 

Ein Spannungssensor 82 milit femer die Spannung U B 2 am Betriebsspan- 
25 nungseingang des Schaltimpuls-Treibers 14 n Qber eine Leitung 83, nachdem 
die Sicherheits-Schalt-vorrichtung 74 gesperrt wurde. Wenn die Betriebsspan- 
nung U B 2 weiterhin vorhanden ist, signalisiert der Spannungssensor 82 dies 
dem Mikroprozessor 73 als "Fehler". Daraufhin gibt der Mikroprozessor 73 ein 
Halt-Signal Qber die Sicherheits-Schaltvorrichtung 75 und teilt gleichzeitig dem 

3 o Mikroprozessor 72 mit, dali jetzt abgeschaltet werden muB. 
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Die Spannung am Betriebsspannungseingang des Schaltimpuls-Treibers 14i 
wird aulJerdem dem Mikroprozessor 12 Qber die Trennstufe 67 zur Oberprufung 
zugefuhrt. 

Ober einen Anschluli "AuslSsung" in der Anschlulileiste 35 ist nach Aktivierung 
einer designierten Sicherheitsfunktion das Rucksetzen dieser Funktion m5glich. 
Danach arbeitet die Motorsteuerung wieder im Normalbetrieb. 

Wie zuvor beschrieben, werden aus den Melisignalen der Sensoren 76 und 48 
Drehzahlsignale abgeleitet und mit einem Grenzwert verglichen. In einer be- 
sonderen Ausfiihrung werden diese beiden Drehzahlwerte miteinander vergli : 
chen. HierfOr werden zwei derdrei PDM-Signale des Pulsdauermodulators 11 
einem Tiefpalifilder zugefuhrt. Das Filter erzeugt ein Sinus-Signal, das einem 
Schmitt-Trigger zugefuhrt wird, der das Sinus-Signal in ein Umpulssignal um- 
wandelt. Das Impulssignal, dessen Impulsfolgefrequenz der Drehzahl ent- 
spricht, wird dem Mikroprozessor 73 zugefuhrt. Das fur den Vergleich zu benut- 
zende zweite Drehzahlsignal wird aus dem Motorstrom gewonnen. Dabei wird 
das Melisignal durch einen Schmitt-Trigger in ein Impulssignal umgewandelt 
und dem zweiten Mikroprozessor 72 zugefuhrt. Die Mikroprozessoren verglei- 
chen die beiden Drehzahlen, und falls die Differenz aulierhalb eines erlaubten 
Bereiches liegt, wird die Motorsteuerung angehalten. Alternate kann der Zwi- 
schenkreisstrom als Mali fur die Drehzahl gemessen werden. 

Diese Funktion kann fur die Funktion Drehzahliiberwachung benutzt werden. Es 
kann somit ein "sicheres" Drehzahlsignal gewonnen werden, so dafi ein Dreh- 
zahlgeber auf der Motorwelle entfallen kann. 



Auch bei dem Ausfahrungsbeispiel nach Fig. 5 ist Ober den Anschluli "Sicher- 
heitsbus" der Anschlulileiste 35 der Sicherheitsbus 56, hier der Sicherheitsbus 
3 o Profisafe®, angeschlossen, dessen Informationen wiederum von dem Buscon- 
troller 57 (siehe Fig. 3) daraufhin Uberpriift werden, ob sie einen Fehler enthal- 
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ten Oder ein Abschaltbefehlsignal darstellen. Gegebenenfalls wird durch den 
Buscontroller 57 ein Halt des Motors Qber den Mikroprozessor 73 und die Si- 
cherheits-Schaltvorrichtung 75 bzw. Qber den Mikroprozessor 72 und die Si- 
cherheits-Schaitvorrichtung 74 ausgelost. Ober den Bus 56 kann auch die er- 
5 forderliche Verzogerungszeit an die Mikroprozessoren 72, 73 gesendet werden. 

Soweit zum Abschalten eines Relais oder irgendeines anderen Verbrauchers 
Schaltelemente mit diesem in Reihe geschaltet sind, konnen sie wahrend des 
Betriebs nicht abgeschaltet werden, urn zu priifen, ob sie weiterhin funktionsfa- 
l o hig sind. Dies wQrde einem Halt-Befehl gleichen. Dennoch ist es erforderlich, 
auch wahrend des Betriebs, z.B. einmal pro Minute, die Funktionsfahigkeit der 
Schaltelemente in der "sicheren Technik" zu priifen. 

Fig. 6 stellt ein Schaltbild einer Vorrichtung zum selbsttatigen Priifen der Funk- 
1 5 tionsfahigkeit einer Sicherheits-Schaltvorrichtung dar, durch die in Abhangigkeit 
von wenigstens einem Abschaltsignal einer Sicherheits- und/oder Oberwa- 
chungsvorrichtung, hier der Sicherheits- und Oberwachungsschaltung 5 nach 
den Fig. 1 bis 3, im Gefahrenfall oder sicherheitshalber der Betrieb eines 
Verbrauchers, hier des Motors 3, abschaltbar ist. Die Prtlfvorrichtung wird am 
2 o Beispiel der in Fig. 3 dargestellten Sicherheits-Schaltvorrichtung beschrieben, 
die das Relais 20 und die mit diesem in Reihe geschalteten Schaltelemente, 
hier die Transistoren 21 , 52 und 61 , aufweist und mit dem Verzogerungsglied 
23, dem Drehzahliiberwacher 53, dem Mikroprozessor 15 sowie dem Mikropro- 
zessor 58 verbunden ist. Der mit dem Relais 20 (bzw. dessen Spule 30) ver T 

2 5 bundene Kollektor des npn-Transistors 61 ist zusatzlich mit der Betriebsspan- 

nung U B i und sein Emitter mit "Erde" verbunden ist. 

Die PrQfvorrichtung besteht im wesentlichen aus einem Impulsgenerator 88 mit 
einer der Anzahl der Schaltelemente (Transistoren) entsprechenden Anzahl, 

3 o hier drei, von Ausgangen und Verknupfungsgliedern 89, 90 und 91 . Als Ver- 

kniipfungsglieder sind UND- und NOR-Glieder dargestellt. Es konnen aber auch 
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nur UND-Glieder sein, je nachdem, ob die Sperrsignale der im Normalbetrieb 
standig leitenden Transistoren durch 1-Signale oder O-Signale auf der Ein- 
gangsseite der Verknupfungsglieder ausgelost werden sollen. Vorliegend sind 
es 1-Signale. 

5 

Der Impulsgenerator 88, der einschlieMich der Verknupfungsglieder im Mikro- 
prozessor 58 ausgebildet sein kann, erzeugt zyklisch nacheinander an seinen 
Ausgangen 1-Signale als Pruf- oder Schaltimpulse P 1f P 2 und P 3 , die jeweils 
iiber eines der Verknupfungsglieder 89, 90 und 91 in dieser oder einer anderen 

10 Reihenfolge den Steueranschliissen der Transistoren als Sperrimpulse P i , P 2 

und P 3 zugefOhrt werden, wie es in Fig. 6(b) dargestellt ist. Die Dauer der 
Schaltimpulse Pi, P 2 und P 3 ist unterschiedlich und kann jeweils beispielsweise 
2 ps, 4 ps und 6 ps betragen. Die Dauer ist mithin kurzer als die Ansprechver- 
zogerung des Relais 20, die etwa 20 ms betragen kann. Das Relais fallt daher 
15 bei einer so kurzen Unterbrechung seines Stromkreises nicht ab, so dafi seine 
Kontakte ihren jeweiligen Schaltzustand, "ein" oder "aus" bzw. "geschlossen" 
oder "geoffnet", beibehaiten. Dagegen kann die Spannung U R an der Relais- 

spule bei jedem Sperrimpuls P x , P 2 und P 3 vollstandig, wie in Fig. 6(b) darge- 
stellt, oder nur geringfugig abfallen. Nach Fig. 6(b) nimmt sie bei jedem Sperr- 

20 impuls vollstandig bis auf Null ab, jedoch nur kurzzeitig entsprechend der Dauer 
des jeweiligen Sperrimpulses. Ein Mikroprozessor, hier der Mikroprozessor 15, 
der entsprechend einem Diskriminator programmiert ist, oder ein entsprechend 
ausgebildeter Diskriminator, der die Spannung U R an der Relaisspule standig 
daraufhin pruft, ob sie kurzzeitig abfallt oder nicht, erkennt ein kurzzeitiges Ab- 

25 nehmen oder Schwanken der Spannung U R als eine fehlerfreie Funktion der 
Transistoren an. Wenn jedoch wenigstens einer der Transistoren aufgrund ei- 
nes Defekts standig leitend bleibt und auf Sperrimpulse nicht reagiert, ver- 
schwindet die Spannung U R an der Relaisspule nicht bei jedem Sperrimpuls, 
und der Diskriminator bzw. Mikroprozessor 15 erkennt dies als einen Fehler 

3 0 eines der Transistoren und signalisiert diesen Fehlerzustand der Sicherheits- 
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und/oder Gberwachungsvorrichtung, hier der Sicherheits- und Oberwachungs- 
schaltung 5, und halt die Motorsteuerung an. Da die Dauer der Sperrimpulse 
unterschiedlich lang ist, erkennt der Diskriminator auch, bei welchem der Tran- 
sistoren der Defekt voriiegt, da sich die Spannung U R wahrend der Dauer der 

5 Abgabe eines Sperrimpulses an den betreffenden Transistor, z.B. des Sperrim- 
pulses P 2 an den Transistor 21 , nicht andern wurde, d.h. konstant bliebe. Diese 
Oberprufung ist prinzipiell zur Ermittlung eines durchgebrannten Transistors 
moglich, d.h. eines Transistors, der einen KurzschluR darstellt. Unabhangig da- 
von, erzeugen der Mikroprozessor 58, das Verzogerungsglied 23 und der Dreh- 

io zahluberwacher 53 auch. wie im Falle der Fig. 3, nach einem Halt-Signal re- 
dundante Abschaltsignale, die jeweils einem der NOR-Glieder (als 1-Signale) 
zugefuhrt werden. 

Generell beruht dieses Prinzip der PrQfung der Funktionsfahigkeit eines Schalt- 
15 elements mithin auf der Ausnutzung der AnsprechverzSgerung eines Verbrau- 
chers, hier des Relais, mit dem ein rascher ansprechendes Schaltelement in 
Reihe geschaltet ist, das im Normalbetrieb einen ersten Schaltzustand ein- 
nimmt, in dem der Verbraucher eingeschaltet (stromfOhrend) ist, und im Gefah- 
renfall in einen zweiten Schaltzustand umschaltbar ist, in dem der Betrieb des 
20 Verbrauchers abgeschaltet wird, wobei das Schaltelement im Normalbetrieb 

zyklisch wahrend einer Dauer in den zweiten Schaltzustand umschaltbar ist, die 
kurzer als die Ansprechverzogerung des Verbrauchers auf einen Abschaltvor- 
gang ist. Vorteilhaft ist es dabei, wenn wenigstens ein weiteres Schaltelement 
vorgesehen ist, das im Normalbetrieb einen ersten Schaltzustand einnimmt, in 
25 dem der Verbraucher eingeschaltet ist, und im Gefahrenfall in einen zweiten 

Schaltzustand umschaltbar ist, in dem der Betrieb des Verbrauchers abgeschal- 
tet wird. und wenn die Schaltelemente im Normalbetrieb zyklisch nacheinander 
wahrend einer Dauer in den zweiten Schaltzustand umschaltbar sind, die kurzer 
als die Ansprechverzogerung des Verbrauchers auf einen Abschaltvorgang ist. 
3 o Wenn dann die Ausschaltdauer der Schaltelemente unterschiedlich ist, la&t sich 
feststellen, welches Schaltelement gegebenenfalls defekt ist. Generell kann der 
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Verbraucher ein Relais sein, durch das der Betrieb eines zweiten Verbrauchers 
abschaltbar ist. 

Das generelle Prinzip der vorstehend geschilderten Vorrichtung zur Prtifung der 
Funktionsfahigkeit der Transistoren 21 , 52 und 61 oder entsprechender elektro- 
nischer Schaltelemente, die mit einem anderen Verbraucher mit Ansprechver- 
zSgerung in Reihe geschaltet sind, ist in Fig. 7 dargestellt. 

Nach Fig. 7 besteht der Verbraucher aus einem ohmschen Widerstand R und 
einem mit diesem in Reihe geschalteten Kondensator, an dem die Betriebs- 
spannung U B fur einen Sicherheitskanal abgegriffen wird, wobei die Reihen- 
schaltung aus dem Verbraucher und den Transistoren an einer konstanten 
Gleichspannung von beispielsweise 24 V liegt. Hierbei wird als Priifspannung 
der Spannungsabfall U R an dem ohmschen Widerstand R abgegriffen. 

Die Sicherheits-Schaltvorrichtung, bestehend aus den Transistoren, Abschalt- 
signalgebern (Sicherheitsbus, DrehzahlQberwacher und VerzSgerungsglied) 
sowie die Priifimpulsgeber (impulsgenerator (IPG) 84 und Verknupfungsglieder 
89-91) sind schematisch in Fig. 7(a) in Form von Funktionseinheiten dargestellt. 

0 Fig. 7(b) stellt den zeitlichen Verlauf der Priifspannung U R am Widerstand R 
dar. 

Fig. 8 stellt das in den Fig. 6 und 7 dargestellte Prinzip weiter verallgemeinert 
dar. Danach kdnnen anstelie der speziellen Abschaltbefehlsgeber, wie Dreh- 
5 zahluberwacher oder Verzogerungsglieder, auch andere Abschaltbefehlsgeber 
verwendet werden, die aufgrund anderer Sicherheitsfunktionen, die durch die 
Sicherheits- und Clberwachungsschaitung 5 (iberwacht werden, an den Aus- 
gangen Ai, A 2 , A 3 beispielsweise des Mikroprozessors 72 Abschaltsignale her- 
vorrufen, die einer Sicherheits-Schaltvorrichtung, beispielsweise der Sicher- 

1 o heits-Schaltvorrichtung 74, zugefQhrt werden. Dabei werden zwischen den Ab- 

schaltsignalen zur Prufung der Funktionsfahigkeit der Schaltelemente S i( S 2 , S 3 
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der Sicherheits-Schaltvorrichtung Prufschaltimpulse P x , P 2 und P 3 an den 
Ausgangen Ai, A 2 und A 3 in der zeitlichen Reihenfolge und Dauer ti, t 2 und t 3 
gemafc den drei unteren Diagrammen in Fig. 8(b) oder in beliebiger Reihenfolge 
abgegeben und dem jeweiligen Schaltelement Si, S 2 und S 3 zugefiihrt. Am ge- 
5 meinsamen Ausgang der Reihenschaltung der Schaltelemente Si, S 2 und S 3 , 
der den Leitungen 33 und 83 in Fig. 5 entspricht, tritt dann der vom Sensor 82 
zu messende, im obersten Diagramm in Fig. 8(b) dargestellte Signalverlauf 
(Spannungs- oder Stromverlauf) auf, wenn die Funktion aller Schaltelemente S A 
bis S 3 fehlerfrei ist. 

10 

In Abhangigkeit von diesem Verlauf wird dann "kein Fehler" oder "Fehler", hier 
durch den Mikroprozessor 73 an die Sicherheits- und Oberwachungsschaltung 
5 gemeldet, wie es anhand von Fig. 6 beschrieben wurde. 

15 Fig. 9 stellt ein Ausfuhrungsbeispiel der Sicherheits-Schaltvorrichtung 75 ge- 
maU Fig. 5 dar, die wahrend des normalen Betriebs vom Mikroprozessor 73 
uber dessen Ausgange A4 und A 5 auf ihre Funktionsfahigkeit gepruft wird und 
zum Abschalten des Motors 3 Qber beide Ausgange A4, A 5 gleichzeitig ein Ab- 
schaltsignal erhalt. Der Mikroprozessor 75 kann daher funktionsmaftig als Teil 

20 der Prufvorrichtung und als Teil der Sicherheits-Schaltvorrichtung betrachtet 
werden. 

Die Sicherheits-Schaltvorrichtung 75 enthalt einen steuerbaren Schaltkreis aus 
zwei in Reihe geschalteten ohmschen Widerstanden 92 und 93 und einem mit 

25 den Widerstanden 92, 93 in Reihe geschalteten Transistor 94. Dieser Schalt- 
kreis liegt zwischen dem Ausgang A» des Mikroprozessors 73 und "Erde". Fer- 
ner enthalt die Sicherheits-Schaltvorrichtung 75 einen zweiten steuerbaren 
Schaltkreis aus zwei in Reihe geschalteten ohmschen Widerstanden 95 und 96 
sowie einem mit den Widerstanden 95, 96 in Reihe geschalteten Transistor 97. 

3 0 Dieser Schaltkreis liegt zwischen dem Ausgang A 5 und "Erde". Die Verbindung 
zwischen den Widerstanden 92 und 93 und die Verbindung zwischen den Wi- 
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derstanden 95 und 96 bilden die Ausgange der beiden Schaltkreise. Die Aus- 
gange sind miteinander verbunden und bilden den Ausgang A 6 der Sicherheits- 
Schaltvorrichtung 75. An der Betriebsspannung U B i liegen ferner zwei weitere 
Reihenschaltungen, die jeweils zwei ohmsche Widerstande 98 und 99, bzw. 

5 100 und 101 , aufweisen, zwischen denen jeweils ein Transistor 102 und 103 
liegt. Der Transistor 102 wird uber einen ohmschen Widerstand 104 vom Aus- 
gang A4 und der Transistor 103 iiber einen ohmschen Widerstand 105 vom 
Ausgang A 5 angesteuert. Die Transistoren 102 und 103 steuem uber einen 
ohmschen Widerstand 104 bzw. 105 jeweils einen der Transistoren 94 und 97 

io an. Im Normalbetrieb liegt am Ausgang A 6 eine Spannung mit konstantem Pe- 
gel PK. 

Wahrend der PrOfphase erzeugt der Mikroprozessor 73 an seinen Ausgangen 
A, und A 5 dreistufige Signale, wie sie in den beiden unteren Diagrammen der 
15 Fig. 9(b) dargestellt sind. Diese Signale sind in Bezug auf eine mittlere Span- 
nung U gegenphasig und weisen jeweils einen ersten Schaltimpuls SPi bzw. 
SP 3 und einen zweiten Schaltimpuls SP 2 bzw. SP 4 auf, die sich zyklisch wie- 
derholen, solange die PrOfphase andauert. Die Schaltimpulse werden im Mikro- 
prozessor 73 uber zwei in Reihe geschaltete, abwechselnd durchgeschaltete 

2 o Transistoren erzeugt. Solange keiner der Schaltimpulse SPi bis SP 4 auftritt, 

liegt die Spannung U an den Ausgangen A4 und A 5 , so dad beide Transistoren 
gesperrt sind und auch am Ausgang A 6 eine relativ hohe Spannung liegt. Wenn 
dagegen der abfallende Impuls SPi am Ausgang A4 auftritt, wird gleichzeitig am 
Ausgang A 5 der ansteigende Impuls SP 3 erzeugt. Durch den Impuls SPi wer- 
25 den die Transistoren 102 und 94 leitend, wahrend die Transistoren 103 und 97 
gleichzeitig durch den Schaltimpuls SP 3 gesperrt werden. Die Spannung am 
Ausgang A 6 nimmt auf einen kleineren Priifpegel PP ab, weil die Widerstande 
93 und 96 wahrend der Dauer der Schaltimpulse SPi und SP 3 , d.h. der Durch- 
schaltdauer des Transistors 94, bei gesperrtem Transistor 97, nicht parallel ge- 

3 0 schaltet sind. Der Mikroprozessor 72 erkennt dies als "Fehlerfreiheit" der Si- 

cherheits-Schaltvorrichtung 75 an. 
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Das gleiche gilt bei Abgabe der Schaltimpulse SP 2 und SP 4 , wobei jetzt der 
Transistor 94 gesperrt und der Transistor 97 leitend ist Wenn jedoch einer der 
Transistoren 93 und 94 aufgrund eines Fehlers einen Kurzschlufi darstellt, dann 
5 hat das Signal am Ausgang A 6 nicht die Welligkeit gemafi dem obersten Dia- 
gramm der Fig. 9(b). Vielmehr wird die Kurvenform geandert, und der Mikropro- 
zessor 72 detektiert diese geanderte Kurvenform und gibt daraufhin ein Signal 
"Fehler" an die Sicherheits- und Oberwachungsschaltung 5 ab, bzw. ein Halt- 
Signai uber die Sicherheits-Schaltvorrichtung 74. 

10 

Falls jedoch die Sicherheits-Schaltvorrichtung 75 in Ordnung ist, und der Motor 
3 jedoch aufgrund eines von der Sicherheits- und Oberwachungsschaltung an 
den Mikroprozessor 73 abgegebenen Abschaltbefehlsignals abgeschaltet wer- 
den soil, erzeugt der Mikroprozessor 73 an beiden Ausgangen A4 und A 5 
15 gleichzeitig ein Signal, so daft beide Transistoren 94 und 97 leitend werden und 
am Ausgang A6 der Sicherheits-Schaltvorrichtung 75 eine niedrige Spannung 
PN auftritt, die als Rucksetzsignal dem RQcksetzeingang R zugefuhrt wird, so 
dali der Motor 3 abgeschaltet wird. 

20 Die Sicherheits-Schaltvorrichtung 75, einschlielilich der zu ihrer Priifung vorge- 
sehenen Mikroprozessoren 73 und 72, kann auch fur beliebige andere Verbrau- 
cher, die zum Abschalten mit einer Sicherheits-Schaltvorrichtung versehen sind, 
aber keine Steuereinrichtung, wie die Steuereinrichtung 2, aufweisen, benutzt 
werden. Anstelle des Mikroprozessors 73 kann auch eine andere Schaltung, 

25 z.B. ein entsprechender Impulsgenerator mit der gleichen Priiffunktion wie die 
des Mikroprozessors 73 und anstelle des Mikroprozessors 72 ein Diskriminator 
oder Komparator zum Unterscheiden der Pegel PK, PP und PN benutzt wer- 
den. 

30 Fig. 10 stellt ein Ausfuhrungsbeispiel der Sicherheits-Schaltvorrichtung 74 und 
schematisch des Mikroprozessors 72 dar, die gemeinsam eine Vorrichtung zur 



WO 2004/059812 



PCT/DK2003/000873 



-31- 



selbsttatigen Priifung der Funktionsfahigkeit der Sicherheits-Schaltvorrichtung 
74 bilden. Sie bilden gleichzeitig einen Teil der Sicherheitsvorrichtung 4 auf der 
Optionskarte 18. 

5 Nach Fig. 1 0 enthalt die Sicherheits-Schaltvorrichtung 74 einen ersten steuer- 
baren Schaltkreis aus der Reihenschaltung eines ohmschen Widerstands 106 
mit einem Transistor 107 und einen zweiten steuerbaren Schaltkreis aus der 
Reihenschaltung eines ohmschen Widerstands 108 und eines Transistors 109. 
Die zwischen dem Transistor 107 und dem Transistor 109 liegenden Ausgan- 
io gen der beiden Schaltkreise sind mit einander verbunden und bilden gemein- 
sam den Ausgang A 7 der Sicherheits-Schaltvorrichtung 74. Der Ausgang A 7 ist 
iiber die Leitung 33 mit dem Betriebsspannungsanschluli des Schaltimpuls- 
Treibers 14t und Ober die Leitung 83 mit dem Spannungssensor 82 verbunden. 
Zwei weitere Reihenschaltungen aus jeweils zwei in Reihe geschalteten ohm- 

15 schen Widerstanden 1 10 und 1 1 1 bzw. 1 12 und 1 13 sowie einem Transistor 
114 bzw. 115 liegen parallel zwischen der Betriebsspannung U B 2 und "Erde". 
Die Verbindung der Widerstande 1 10 und 1 1 1 ist mit dem Steueranschluli des 
Transistors 107 und die Verbindung der Widerstande 1 12 und 1 13 mit dem 
Steueranschluli des Transistors 109 verbunden. 

20 

Der Mikroprozessor 72 erzeugt bei diesem Ausfuhrungsbeispiel an seinen Aus- 
gangen Ai und A 2 im Normalbetrieb ein (hohes) Signal EIN, so dali beide Tran- 
sistoren 109 und 107 leitend sind, und wahrend einer PrUfphase jeweils einen 
Prufschaltimpuls SP 4 bzw. SP 5 , der dem SteueranschluB des jeweiligen Tran- 

2 5 sistors 1 14 bzw. 1 1 5 zugefuhrt wird. Die Prufschaltimpulse SP 4 und SP 5 sind 
zeitlich ohne gegenseitige Oberlappung versetzt und wiederholen sich wahrend 
der Priifphase. Wenn mithin der Prufschaltimpuls SP 4 am Ausgang Ai des Mi- 
kroprbzessors 73 auftritt, werden die im Normalbetrieb bei hoher Ausgangs- 
spannung an den Ausgangen A 2 und A 1 leitenden Transistoren 1 14 und 107 

30 gesperrt, wahrend die Transistoren 109 und 1 15 leitend bleiben. Die Spannung 
am Ausgang A 7 nimmt daher nur geringfOgig von dem konstanten Pegel PK auf 
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den Prtifpegel PP ab. Zwischen den beiden Prufschaltimpulsen nimmt die 
Spannung am Ausgang A 7 wieder auf PK zu, um beim folgenden Priifschaltim- 
puls SP 5 am Ausgang A 2 des Mikroprozessors 73 wieder etwas abzunehmen. 
Die Spannung am Ausgang A 7 schwankt daher wahrend der Priifphase nur ge- 

5 ringfugig. Die geringe Schwankung der Ausgangsspannung wird von dem an- 
geschiossenen Spannungssensor 82 an den Mikroprozessor 73 weitergeleitet, 
der die Schwankung als fehlerfreien Zustand der Sicherheits-Schaltvorrichtung 
74 interpretiert. Falls die Schwankung nicht auftritt bzw. die Kurvenform von der 
Kurvenform in der PrQfphase abweicht, wird das als Fehler der Sicherheits- 
io Schaltvorrichtung 74 erkannt. Wenn dagegen der Verbraucher, hier der Motor 
3, im Normalbetrieb abgeschaltet werden soli, erzeugt der Mikroprozessor 72 
an beiden Ausgangen A, und A 2 gleichzeitig ein niedriges Signal "AUS". Da- 
durch werden die Transistoren 107 und 109 gleichzeitig gesperrt, so daft dem 
Treiber 14i die Betriebsspannung weggenommen wird und der Motor 3 anhalt. 

15 Wenn die Spannung am Ausgang A 7 wahrend einer Prufphase im Normalbe- 
trieb dagegen nur mit geringer Amplitude schwankt, bleibt der Schaltimpuls- 
Treiber 14i und mithin der Motor 3 weiter in Betrieb. 

Die Widerstande 106 und 108 sind vorzugsweise selbsttatig in Abhangigkeit 
20 von der Belastung einstellbar, d.h. sie konnen durch kleinere Schaltungsanord- 
nungen ersetzt werden, die den jeweiligen Widerstand in Abhangigkeit vom Be- 
lastungsstrom, beispielsweise des Schaltimpuls-Treibers 14, auf den jeweils 
giinstigsten Wert einstellen. Dies hat den Vorteil, daft die Widerstande 106 und 
108 bei der Auslegung der Sicherheits-Schaltvorrichtung 74 nicht fur jeden An- 
25 wendungsfall unterschiedlich dimensioniert werden mUssen. 

Fig. 11 stellt prinzipiell eine Schaltungsanordnung einer Prtifeinheit 116 in einer 
Vorrichtung 117 (Fig. 5) zum selbsttatigen Prufen der Funktionsfahigkeit einer 
Sicherheits-Schaltvorrichtung dar. Im vorliegenden Fall werden die Eingangs- 
30 anschlQsse der Mikroprozessoren 72 und 73 auf ihre Funktionsfahigkeit geprOft, 
wobei die Mikroprozessoren 72 und 73 verallgemeinert als die oder als Teil ei- 
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ner Sicherheits-Schaltvonichtung betrachtet werden konnen. Auch die PrOfein- 
heit 116 selbst wird getestet. 

Der Grund fur diese Prtifung ist im wesentlichen folgender: Den Eingangsan- 
5 schlussen der Mikroprozessoren 72 und 73 werden in der Ausftihrung nach Fig. 
5 Ober die Anschlusse der Anschlulileiste 35 auf der Optionskarte 18 Abschalt- 
signale zugefiihrt. Dabei sollte sichergestellt sein, dafi diese Abschaltsignale 
tatsachlich vom betreffenden Mikroprozessor 72 bzw. 73 aufgenommen und 
verarbeitet werden. Es sollten sogenannte "schlafende Fehler" festgestellt wer- 

10 den. Ein derartiger Fehler kann z.B. dadurch verursacht werden, dali ein Ein- 
gangsanschluli der Mikroprozessoren uber langere Zeit, z.B. mehrere Jahre, 
mit demselben Signal, z.B. eine konstante Gleichspannung von 24 V, belastet 
wird, ohne dafi benutzerseitig ein Halt-Signal oder Abschaltsignal ausgelost 
wird. Im ungQnstigsten Fall wird der Fehler erst festgestellt, wenn eine "sichere 

15 Funktion" aktiviert werden soil. Dies ware nicht tolerierbar, denn es konnte noch 
ein weiterer Fehler auftreten, der verhindert, dali die Sicherheitsvorrichtung 4 
funktioniert. 

Um einen solchen Fall zu vermeiden, werden die Eingangsanschlusse der Mi- 
20 kroprozessoren 72 und 73 selbsttatig intern angesteuert, ohne die Anschlusse 
der Anschlulileiste 35 zu beeinflussen. 

Fur jeden Eingangsanschluli der Mikroprozessoren 72 und 73 ist eine Priifein- 
heit wie die in Fig. 1 1 dargestellte Prufeinheit 116 vorgesehen, und jede PrOf- 
25 einheit kann individuell angesteuert werden. 

Es werden auch die Ausgangsanschlusse der Mikroprozessoren getestet. Dies 
geschieht dadurch, dali der eine Mikroprozessor ein kurzes Signal abgibt, das 
von dem anderen Mikroprozessor kontrolliert wird. 

30 
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Die PrQfeinheit 116 nach Fig. 1 1 ist Ober einen Spannungspegeladapter SA, der 
einen ohmschen Spannungsteiler enthalt, mit einem Anschluli der AnschlulJ- 
leiste 35 (Fig. 5) verbunden. Die Verbindung ist zur Vereinfachung der Darstel- 
lung in Fig. 5 weggelassen. Die Pruf-einheit 1 16 hat zwei weitere Eingange E 3 , 
5 E 4| denen zeitlich versetzte Prtifschaltimpulse SP 6 , SP 7 von einem Impulsgene- 
rator im Mikroprozessor 72 zugefuhrt werden. Der Impulsgenerator ist durch 
entsprechende Programmierung des Mikroprozessors 72 realisiert. Die PrQfein- 
heit 1 16 hat ferner einen Ausgang A 8 , der mit einem EingangsanschluR des 
Mikroprozessors 73 bzw. der Sicherheits-Schattvorrichtung uber einen Span- 

1 o nungspegeladapter SA verbunden ist. 

Die Schaltungsanordnung der PrQfeinheit 1 1 6 gemali Fig. 1 1 (a) enthalt eine 
erste Reihenschaltung aus einem ersten Transistor 118, einem gleichsinnig mit 
dem ersten Transistor 118 gepolten zweiten Transistor 1 1 9 und zwei gleichsin- 

15 nig mit den Transistoren 1 18, 1 19 gepolten Dioden 120, 121 zwischen den 

Transistoren 1 1 8, 1 19. Ferner enthalt sie eine zweite Reihenschaltung aus zwei 
ohmschen Widerstanden 122, 123, deren Verbindung mit dem Steueranschluft 
des ersten Transistors 1 18 verbunden ist, und einen dritten Transistor 124. Der 
SteueranschlufJ des zweiten Transistors 119 bildet den Eingang E 4 , der Steuer- 

20 anschlufi des dritten Transistors 124 den Eingang E 3 und die Verbindung der 
Dioden 120, 121 den Ausgang As. 

Die Prtifschaltimpulse SP 6 und SP 7 wiederholen sich zyklisch in vorbestimmten 
Zeitpunkten und festen Abstanden, wobei die Prtifschaltimpulse SP 7 zwischen 

2 5 den Prtifschaltimpulsen SP 6 , und umgekehrt, auftreten. Bei jedem Erhalt eines 

Prufschaltimpulses SP 6 vom Mikroprozessor 72 am Eingang E 3 tritt am Aus- 
gang As der PrQfeinheit 116 ein hoher Ausgangsimpuls SP 8 und bei jedem Er- 
halt eines Prufschaltimpulses SP 7 am Eingang E 4 vom Mikroprozessor 72 ein 
niedriger Ausgangsimpuls SP 9 auf. Die Ausgangsimpulse SP 8 und SP 9 werden 

3 0 vom Mikroprozessor 73 uber die Mehrfachleitung M zum Mikroprozessor 72 

weitergeleitet. Der Mikroprozessor 72 prtift dann, ob er bei bzw. zur Zeit der 
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Abgabe eines Priifschaltimpulses SP 6 einen hohen Ausgangsimpuls SP 8 der 
PrQfeinheit 116 und bei bzw. zur Zeit der Abgabe eines Prufschaltim-pulses SP 7 
einen niedrigen Ausgangsimpuls SP 9 der Priif-einheit 1 16 erhait. Wenn der Mi- 
kroprozessor 72 bei Abgabe eines Priifschaltimpulses SP 6 oder SP 7 keinen ent- 
5 sprechenden Ausgangsimpuls SP 8 bzw. SP 9 erhait, erzeugt er ein Signal "Feh- 
ler", das an die Sicherheits- und Gberwachungsschaltung 5 zuriickgemeldet 
wird, oder gibt ein Halt-Signal an die Steuereinrichtung ab. Dagegen erzeugt er 
ein Signal "kein Fehler", wenn er bei jeder Abgabe eines Priifschaltimpulses 
SP 6 und SP 7 einen entsprechenden Ausgangsimpuls SP 8 und SP 9 von der 
l o PrQfeinheit 116 erhait. 

Die Anwendung der hohen und niedrigen Ausgangsimpulse SP 8 und SP 9 der 
PrQfeinheit 116, die dem Mikroprozessor 72 zugefuhrt werden, ist deshalb er- 
forderlich, weil nicht von vornherein bekannt ist, ob der Benutzer im Normalbe- 
15 trieb ein hohes oder niedriges Abschaltsignal verwendet. Die Prtifung stellt si- 
cher, da(i der Mikroprozessor sowohl niedrige als auch hohe Abschaltsignale 
verarbeiten kann. Dadurch ist ausgeschlossen, dad Kurzschlusse oder Unter- 
brechungen in den Eingangsanschlussen nicht festgestellt werden. 

20 Der Mikroprozessor 72 kann auch seine eigenen Eingangsanschlusse Qber ent- 
sprechend mit seinen Eingangsanschlussen verbundene PrQfeinheiten, wie der 
PrQfeinheit 116, auf FunktionsfShigkeit prQfen, obwoh! dies in Fig. 5 nicht dar- 
gestellt ist. 

25 Die PrQfung sollte so oft wie notig durchgefuhrt werden, aber nur verhaltnisma- 
(lig kurz und selten im Vergleich mit der Anwendung einer Abschaltfunktion, da 
das Abschaltsignal des Benutzers wahrend der PrQfung nicht festgestellt wer- 
den kann. Wahrend der PrQfung wird zwar der Eingangswiderstand, gesehen 
vom Benutzer, verringert, von beispielsweise 4 kOhm auf 2 kOhm. Doch er- 

3 0 scheint dies akzeptabel, weil benutzerseitig haufig ein Relais benutzt wird. 
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Fig. 12 stellt den Aufbau des Elektromotors 3 dar, der als dreiphasiger Dreh- 
strommotor ausgebildet ist und in bekannter Weise mit der Steuereinrichtung 2 
versehen ist, die hier als Umrichter ausgebildet ist und die Schwachstrom- 
Steuereinheit 6 sowie die Starkstrom-Steuereinheit 8 mit dem Wechselrichter 
5 13 in einem Gehause 125 des Motors 3 aufweist. Das Gehause 125 besteht 
aus drei Gehauseteilen 126, 127 und 128. Im Gehauseteil 126 sind der Stander 
mit der Standerwicklung 129 und der Laufer 1 30 angeordnet. Die Welle 131 des 
Laufers 130 ist in Lagem 132 und 133 gelagert und treibt einen Ventilator 1 34 
im Gehauseteil 128 an. Das Gehauseteil 127 ist am Gehauseteil 126 befestigt 

io und von auften nach Lc-sen einer Abdeckung 1 35 zuganglich. Innerhalb des 
Motors, d.h. seines Gehauseteils 127, sind die Steuereinrichtung 2 und die mit 
der Steuereinrichtung 2 durch einen nicht dargestellten Verbinder (Steckverbin- 
der oder Flachkabel mit Steckverbinderteilen) verbundene Sicherheitsvorrich- 
tung 4 angeordnet. Die Sicherheitsvorrichtung 4 ist auf einer eigenen Karte 18 

15 aufgebracht, wahrend die Schwach- und Starkstrom-Steuereinheiten 4 und 6 
entweder auf getrennten Karten 17 und 8 oder gemeinsam auf einer Karte (Pla- 
tine) aufgebracht sind. Die Sicherheitsvorrichtung 4 kann aber auch zusammen 
mit der Steuereinrichtung 2 auf einer einzigen Karte angeordnet sein. Im Motor 
3, d.h. in seiner aus den Gehauseteilen 126 und 128 bestehenden Gehause- 

2 o einheit ist der Sensor 51 zum Messen der Drehzahl angeordnet. Mit den Senso- 
ren 136 und 137 sind weitere mogliche Anbringungsorte des Sensors darge- 
stellt. Unter Umstanden konnen mehrere Sensoren benutzt werden. 

Der Sensor 51 hat nur eine Aufgabe, namlich zu einer "sicheren Funktion" bei- 
2 5 zutragen. Er ist daher mit der Sicherheitsvorrichtung 4 innerhalb des Motors 3 
(seines Gehauses 125) verbunden. Wenn zusatzlich die Drehzahl des Motors 3 
geregelt werden soil, kann ein zusatzlicher Drehzahlgeber vorgesehen sein, der 
ublicherweise jedoch aulierhalb des Motors auf der Welle 1 31 angebracht wird. 
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Der Sensor 51 kann ein herkommlicher oder speziell fOr Sicherheitszwecke 
ausgelegter Sensor sein, hier zum Messen der Drehzahl, um sie mit einem 
Grenzwert zu vergleichen. 

5 Die Verbindungsleitungen zwischen der Sicherheitsvorrichtung 4 und dem in- 
nerhalb des Motors angeordneten Sensor 51 sind alle innerhalb des Motors 
verlegt, soweit es sich um einen "Sicherheits-Sensor" handelt. Der Benutzer 
braucht sich daher nicht um die Verdrahtung zu kummern. 
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Patentanspruche 

1. Motorsteuerung (1 ) mit einer Steuereinrichtung (2) und einer Sicherheits- 
5 vorrichtung (4) zum sicheren Abschalten eines Motors (3), wobei die Si- 

cherheitsvorrichtung (4) mit der Steuereinrichtung verbunden Oder ver- 
bindbar ist und einen Anschluli fttr einen Sicherheitsbus (56) aufweist, 
dadurch gekennzeichnet, dali die Sicherheitsvorrichtung (4) weitere 
Anschlusse fur externe Sicherheitsfunktionseinheiten und Mittel (57, 72, 
io M, 73) zum kommunikativen Verbinden der externen Sicherheitsfunkti- 

onseinheiten mit dem Sicherheitsbus (56) fur eine Kommunikation in we- 
nigstens einer Richtung aufweist. 

2. Motorsteuerung nach Anspruch 1 , dadurch gekennzeichnet, dali die Si- 
15 cherheitsvorrichtung (4) eine oder mehrere Sicherheitsfunktionen (DSF1 , 

DSF2) aufweist, die vorab programmiert und gespeichert ist bzw. sind 
(K1, K2) und Qber eine Anschlufileiste (35) der Sicherheitsvorrichtung (4) 
bzw. durch den Sicherheitsbus (56) aktivierbar ist bzw. sind. 

20 3. Motorsteuerung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dali 
die Anschlusse in einer Anschlulileiste (35) auf einer Karte (18) ange- 
bracht sind und die erwShnten Mittel aus einem oder mehreren Mikropro- 
zessoren (57, 72, M, 73) bestehen, die auf dieser Karte angebracht sind. 

25 4. Motorsteuerung nach Anspruch 3, dadurch gekennzeichnet, dali die 
Steuereinrichtung (2) auf wenigstens einer von der Sicherheitsvorrich- 
tung (4) getrennten Karte (7) angebracht ist. 



5. 

30 



Motorsteuerung nach Anspruch 3, dadurch gekennzeichnet, dali Leiter- 
bahnen von den Anschlussen zu den Mikroprozessoren sowie die elek- 
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tronischen Schaltanschlusse der Mikroprozessoren kontinuierlich von ei- 
ner PrQfvorrichtung (1 17) auf deren Funktionsfahigkeit uberprtlfbar sind. 

6. Motorsteuerung nach Anspruch 2, dadurch gekennzeichnet, daft eine 
5 Sicherheitsfunktion (DSF1) uber einen ersten und einen zweiten An- 

schluft der Anschluftleiste (35) aktivierbar ist, und daft der erste An- 
schluft mit einem ersten Mikroprozessor (73) und der zweite AnschluB 
mit einem zweiten Mikroprozessor (72) verbunden ist. 



10 7. Motorsteuerung nach Anspruch 3, dadurch gekennzeichnet, daft die 
Anschluftleiste einen Rucksetzanschluft aufweist. 

8. Motorsteuerung nach Anspruch 2, dadurch gekennzeichnet, daft durch 
ein Signal "sicherer Halt" uber den Sicherheitsbus ein Rucksetzen eines 
15 digitalen Signalprozessors (10, 11) in der Steuereinrichtung (2) und eine 

Unterbrechung der Betriebsspannung eines Schaltimpuls-Treibers (14i) 
in der Steuereinrichtung und/oder eine Unterbrechung der durch den 
Schaltimpuls-Treiber ubertragenen Schaltimpulse bewirkbar ist. 

20 9. Motorsteuerung nach Anspruch 2, dadurch gekennzeichnet, dalJ uber die 
Anschlusse (35) Sicherheits-Ruckmeldungssignale aus der Motorsteue- 
rung oder uber den Sicherheitsbus zu den externen Sicherheitsfunkti- 
onseinheiten ubertragbar sind. 

25 10. Motorsteuerung nach einem der vorstehenden Anspruche, dadurch ge- 
kennzeichnet, dali wenigstens eine der folgenden externen Sicherheits- 
funktionseinheiten vorgesehen ist: ein Drehzahlsensor (51) zur Begren- 
zling der Drehzah! des Motors, ein Not-Halt-Geber, wie eine Sicherheits- 
Lichtschranke oder ein Tur-Schalter, ein Drehmomentsensor zur Begren- 

3 0 zung des Drehmoments des Motors (3), eine Ventileinheit, ein Aktuator, 
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eine mechanische Bremse auf der Motorwelle Oder ein manuell betatig 
barer Schalter zum Anhalten des Motors (3). 
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